Verificador de pré-carga HSTS

• Verificação de status de pré-carregamento HSTS em tempo real: consulte a API oficial hstspreload.org v2 em tempo real para verificar se um domínio está na lista de pré-carregamento HSTS do Chrome/Chromium. A ferramenta retorna um dos quatro status: Pré-carregado (na lista), Pendente (enviado e aguardando revisão), Rejeitado (não atendeu aos requisitos) ou Não pré-carregado (não está na lista). Cada status inclui uma explicação detalhada do que significa para o domínio.
• Informações detalhadas de pré-carregamento: além do status básico, o verificador de pré-carregamento HSTS revela se o domínio foi enviado por meio de envio em massa, o domínio pré-carregado real (útil para subdomínios cobertos por uma entrada pai) e o tempo de resposta da consulta. Os resultados também incluem um link direto para hstspreload.org para mais detalhes e opções de envio.
• Descrições e orientações de status inteligente: cada status de pré-carga do HSTS vem com uma explicação legível e orientação acionável. Se um domínio estiver pré-carregado, a descrição explica a força da aplicação. Se rejeitado, os motivos comuns serão listados. Se não estiver pré-carregado, serão fornecidas orientações sobre como enviar o domínio.
• Gratuito e sem necessidade de inscrição: verifique quantos domínios desejar, sem inscrição, sem chave de API e sem limites de uso. O HSTS Preload Checker consulta a API pública hstspreload.org diretamente do seu navegador - nenhum dado é armazenado ou registrado em nossos servidores. Completamente grátis, para sempre.

• Auditoria e conformidade de segurança: os profissionais de segurança usam o Verificador de pré-carregamento HSTS para verificar se os domínios do cliente têm a aplicação HTTPS mais forte possível. A inclusão de um domínio na lista de pré-carregamento HSTS garante que os navegadores nunca farão uma solicitação HTTP não criptografada para esse domínio, protegendo contra ataques de downgrade, remoção de SSL e ataques man-in-the-middle desde a primeira visita.
• Verificação de proteção do navegador: antes do lançamento de um site importante, verifique se o seu domínio está na lista de pré-carregamento do Chrome/Chromium HSTS. Ao contrário do HSTS controlado por servidor (que requer pelo menos uma visita HTTP para conhecer a política), os domínios pré-carregados obtêm aplicação de HTTPS no nível do navegador na primeira conexão. Isso elimina a “vulnerabilidade do primeiro carregamento” que afeta as implementações HSTS padrão.
• Avaliação de prontidão de pré-carregamento: se o seu domínio for exibido como "Não pré-carregado" ou "Rejeitado", use o verificador de pré-carregamento HSTS para entender o motivo. A ferramenta explica os requisitos: certificado TLS válido, redirecionamento HTTP para HTTPS permanente, idade máxima ≥ 31.536.000 segundos (1 ano), diretiva includeSubDomains e diretiva preload no cabeçalho Strict-Transport-Security.
• Verificação de cobertura de subdomínio: verifique se os subdomínios são cobertos pela entrada de pré-carregamento de um domínio pai. O verificador de pré-carregamento HSTS mostra se um domínio é coberto por seu domínio pai (por exemplo, app.example.com coberto por example.com). Isto é fundamental para verificar se todos os subdomínios na sua infraestrutura têm proteção de pré-carga HSTS.
• Conformidade bancária e de comércio eletrônico: sites de comércio eletrônico, bancos e quaisquer sites que lidam com dados confidenciais de usuários devem verificar seu status de pré-carregamento de HSTS. Estar na lista de pré-carregamento é um forte sinal para usuários e reguladores de que o site leva a segurança HTTPS a sério. Muitas estruturas de segurança (PCI DSS, NIST) recomendam ou exigem a aplicação de HSTS.
• Benchmarking de segurança competitiva: compare a adoção de pré-carga de HSTS entre concorrentes em seu setor. Verifique se os principais concorrentes têm seus domínios pré-carregados e use os resultados para defender a implementação do pré-carregamento de HSTS em sua organização. O HSTS Preload Checker facilita a auditoria de qualquer domínio em segundos.

A lista de pré-carregamento HSTS é uma lista codificada de nomes de domínio mantida pelo Google e fornecida com o código-fonte do navegador Chrome/Chromium. Também é usado pelo Firefox, Safari, Edge e Opera. Quando um domínio está nesta lista, o navegador atualizará automaticamente todas as conexões HTTP para HTTPS antes que qualquer dado seja enviado - mesmo na primeira visita. Isso elimina a “vulnerabilidade do primeiro carregamento”, onde um usuário pode ser atacado antes de receber o cabeçalho HSTS do servidor.

1. HSTS controlado por servidor: quando um navegador visita um domínio pela primeira vez, o servidor pode enviar um cabeçalho de resposta Strict-Transport-Security. O navegador lembra desta política pela duração especificada por max-age . Quaisquer visitas futuras dentro desse período usarão HTTPS. No entanto, a primeira visita é desprotegida – este é o “problema do primeiro carregamento”.
2. HSTS pré-carregado: os domínios na lista de pré-carregamento são protegidos desde a primeira conexão. O navegador verifica sua lista interna antes de fazer qualquer conexão e se recusa a enviar tráfego HTTP. Nenhuma interação com o servidor é necessária para ativar a proteção. Esta é a forma mais forte de aplicação de HTTPS disponível.
3. Sendo pré-carregado: para ser adicionado à lista, um domínio deve atender a requisitos rigorosos: deve ter um certificado TLS válido, redirecionar permanentemente HTTP para HTTPS e incluir um cabeçalho Strict-Transport-Security com max-age ≥ 31.536.000 (1 ano), includeSubDomains e a diretiva preload. O domínio é então enviado via hstspreload.org para revisão.

• Pré-carregado: o domínio está na lista de pré-carregamento do navegador. Todos os subdomínios são atualizados automaticamente para HTTPS. Isto é indicado por um emblema de escudo verde.
• Pendente: o domínio foi enviado para hstspreload.org e está aguardando revisão. O processo de revisão verifica se o domínio atende a todos os requisitos de pré-carregamento. Este status é indicado por um escudo amarelo.
• Rejeitado: o domínio foi enviado, mas não atendeu aos requisitos de pré-carregamento. Os motivos comuns incluem idade máxima insuficiente, inclusão de SubDomains ausentes ou um endpoint HTTP que não redireciona para HTTPS. Este status é indicado por um escudo vermelho.
• Não pré-carregado: o domínio não está na lista de pré-carregamento e não foi enviado. Este é o estado padrão para a maioria dos domínios. Este status é indicado por um escudo cinza.

Adicionar um domínio à lista de pré-carregamento do HSTS é um compromisso significativo. Como a lista está codificada no código-fonte do navegador, a remoção da lista pode levar meses – requer um ciclo de atualização do navegador. Depois que um domínio for pré-carregado, o navegador se recusará a se conectar por HTTP, mesmo que o servidor pare de oferecer suporte a HTTPS. Isso significa que você deve manter o suporte HTTPS para seu domínio indefinidamente após o pré-carregamento. Os proprietários de domínio só devem enviar para a lista de pré-carregamento depois de garantir que seu site e todos os subdomínios tenham configurações HTTPS robustas e permanentes. Para testar e preparar subdomínios, considere usar domínios separados que não sejam pré-carregados.